OPA中无法使用nodeSelector PodSpec实现Pod必填nodeSelector的准入策略

现有代码核心问题 #

• 语法缺失：deny规则体末尾没有闭合的}，会直接导致策略加载失败
• 逻辑判断顺序错误：直接判断input.request.object.spec.nodeSelector存在后再校验长度，如果Pod压根没有配置nodeSelector字段，规则会直接终止匹配，永远不会触发拒绝
• 规则逻辑覆盖不全：当前仅判断了「存在nodeSelector但长度为0」的场景，缺少了「完全没有nodeSelector字段」的拦截场景，同时错误提示文案也和需求不匹配

修复后可用的策略代码 #

package kubernetes.admission

deny[reason] {
  input.request.kind.kind == "Pod"
  input.request.operation == "CREATE"
  # 违规场景1：spec下没有nodeSelector字段
  not has_field(input.request.object.spec, "nodeSelector")
  reason := "新建Pod必须配置spec.nodeSelector字段"
}

deny[reason] {
  input.request.kind.kind == "Pod"
  input.request.operation == "CREATE"
  # 违规场景2：nodeSelector配置为空对象
  count(input.request.object.spec.nodeSelector) == 0
  reason := "新建Pod的spec.nodeSelector不能为空，必须配置至少一个节点选择标签"
}

简化合并版（单条规则） #

如果不需要区分错误场景，可以用or合并判断条件：

package kubernetes.admission

deny[reason] {
  input.request.kind.kind == "Pod"
  input.request.operation == "CREATE"
  (not has_field(input.request.object.spec, "nodeSelector")) or count(input.request.object.spec.nodeSelector) == 0
  reason := "新建Pod必须配置非空的spec.nodeSelector"
}

内容的提问来源于stack exchange，提问作者Bhawna Jha